secrets(rotation): B5 -- mot de passe legacy famille 2L2u519w* largement embarque (empreinte, pas de valeur)

Ajout B5 a common/rotation-secrets-inventaire.md, redige selon la doctrine A1 (empreinte
sha256:bbd43b3e, valeur JAMAIS en clair). Sweep unique grep -rlI sur /volume1/docker (08/08/2026)
= ~30 fichiers : ~10 remotes git (.git/config), 7 .env desactives/backups, et DEJA en clair dans le
repo nas-runbooks lui-meme (HEBERGEMENT-SITES-STATIQUES.md, n8n-skills-officiels.md,
tap-gitea-hermes-skills.md, telegram-flood-control-...gitea-deploy-token.md) + context-hub/MEMORY/log.
Liveness NON re-verifiee (172.17.0.1 injoignable hors NAS, test Tailscale non concluant) -> traiter
comme potentiellement vivant. Remediation (rotation + reecriture remotes + scrub historique) = session
dediee, hors perimetre du chantier message_id.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

common/rotation-secrets-inventaire.md

@@ -53,6 +53,33 @@ quels containers le lisent et sous quel uid (1026/100) avant de restreindre.
 Dépôt `nabil-brain` : URL remote de la forme `https://bolbol:<token>@gitea.bolbol.tn`.
 Roter le token et réécrire le remote (credential helper ou SSH).
 
+### B5. Mot de passe legacy bolbol (famille `2L2u519w*`) largement embarqué en clair — git remotes, .env, docs (ajout 08/08/2026)
+Instance **non répertoriée** de la **famille `2L2u519w*`** (rotation en attente, cf. incident sudo Best0f 07/2026).
+Mot de passe legacy `bolbol`, suffixe service `gitea` (empreinte sha256 : `bbd43b3e`, valeur non affichée
+conformément à A1). **Liveness NON re-vérifiée le 08/08/2026** (adresse interne `172.17.0.1` injoignable hors
+NAS ; test via Tailscale non concluant) → traiter comme **potentiellement vivant** tant que non confirmé mort,
+d'autant qu'il est embarqué dans de nombreux remotes actifs.
+
+**Portée réelle** — sweep unique `grep -rlI` sur `/volume1/docker` (08/08/2026, ~30 fichiers) :
+- **~10 remotes git** (mot de passe dans l'URL de `.git/config`) : `nyora-notes` (workspace hermes-nyora),
+  `hermes-perso`, `hermes-platform/.git.bak`, `family-help`, `bifrost-proxy`, `panda-dashboard`, `nyora-doc-api`,
+  `context-hub`, `_archive/rayhan-erp`, `nas-runbooks.STALE-*`.
+- **7 fichiers `.env`** (désactivés / backups) : `hermes-tt/.env.disabled`, `hermes-nyora/.env.disabled`,
+  `hermes-perso/.env.disabled`, 2× `hermes-nyora/.env.bak-*`, 2× `_rotation-backup-20260709/*/.env`.
+- **En clair DANS le repo `nas-runbooks` lui-même (déjà commité)** : `common/HEBERGEMENT-SITES-STATIQUES.md`,
+  `common/n8n-skills-officiels.md`, `common/tap-gitea-hermes-skills.md`,
+  `common/telegram-flood-control-overflow-split-et-gitea-deploy-token.md`. Aussi : context-hub (`CLAUDE.md`,
+  `AGENTS.md`, walkthroughs), `hermes-nyora/.../MEMORY.md`, un `tirith/log.jsonl`.
+- Hors `/volume1/docker` (non couvert par le sweep) : `/tmp/nas-runbooks-work/.git/config` sur l'hôte NAS.
+
+Le push nas-runbooks du 08/08 a été fait via le token `GITEA_TOKEN_TT` (bolbol) de
+`/volume1/docker/hermes-platform/.env`, sans jamais ré-embarquer ce mot de passe.
+
+**Action (session de rotation dédiée requise — hors périmètre du chantier message_id 08/08)** : roter le mot de
+passe famille `2L2u519w*` ; réécrire tous les remotes sans credential embarqué (token via helper) ; purger les
+`.env.bak`/`.env.disabled` et le clone STALE ; **scrubber l'historique** des runbooks/docs contenant la valeur
+en clair (git-filter-repo / BFG).
+
 ---
 
 ## C. À NE PAS TOUCHER